CVE-2026-32202: A Verificação de Confiança Executa no Clique. A Coerção Executa no Ícone

CVE-2026-32202: A Verificação de Confiança Executa no Clique. A Coerção Executa no Ícone

Pesquisadores da Akamai analisaram a vulnerabilidade do Windows Shell CVE-2026-32202, que resultou de uma correção incompleta para a CVE-2026-21510 previamente explorada.

Em fevereiro de 2026, a Microsoft corrigiu o vetor de execução de código remoto impondo a verificação de confiança do SmartScreen antes de executar applets do Painel de Controle, mas um problema passou despercebido: o Explorer ainda se conecta automaticamente ao servidor SMB de um atacante ao exibir o conteúdo de uma pasta.

A correção da Microsoft moveu a verificação de confiança (ControlPanelLinkSite, IVerifyingTrust::OnVerifyingTrust) apenas para o estágio de execução via ShellExecuteExW, mas não corrigiu o caminho de execução durante a enumeração, exibição de dica de ferramenta ou visualização. Devido a um bug no shell32.dll, a estrutura _IDCONTROLW para itens do Painel de Controle (Control Panel applet) pode acionar uma chamada para PathFileExistsW ao visualizar uma pasta contendo um arquivo .lnk. Isso faz com que o Explorer inicie uma conexão SMB e vaze o hash NTLMv2 antes de qualquer interação do usuário e independentemente do SmartScreen.

Artigo: https://nefariousplan.com/posts/cve-2026-32202-trust-check-at-the-click

PoC: https://github.com/virus-or-not/CVE-2026-32202